Amplification Attack

Atak amplifikacyjny (ang. amplification attack) to rodzaj ataku DDoS, w którym napastnik zalewa ofiarę ogromną ilością ruchu, choć sam wysyła go niewiele. Sztuczka polega na tym, że atakujący nadużywa publicznie dostępnych serwerów (najczęściej działających na protokole UDP) jako wzmacniaczy. Wysyła do nich małe zapytania, ale podaje fałszywy adres nadawcy — adres ofiary. Serwery grzecznie odpowiadają, tyle że dużo większymi pakietami i kierują je nie do napastnika, lecz do ofiary. To, ile razy odpowiedź jest większa od zapytania, nazywamy współczynnikiem amplifikacji (amplification factor).

Jak działa atak amplifikacyjny?

W tym ataku spotykają się dwa mechanizmy: refleksja (odbicie) i amplifikacja (wzmocnienie). Refleksja oznacza, że ruch nie leci do ofiary wprost, tylko „odbija się” od zwykłych, legalnych serwerów — pełnią one rolę pośredników (reflektorów). Amplifikacja to po prostu fakt, że odpowiedź jest większa od zapytania. Żeby to zadziałało, napastnik musi umieć podszyć się pod adres IP ofiary. Dlatego ataki te niemal zawsze opierają się na UDP — protokole bezpołączeniowym, który nie sprawdza, kto naprawdę wysłał zapytanie (w przeciwieństwie do TCP, gdzie najpierw odbywa się tzw. handshake, czyli wzajemne potwierdzenie nadawcy i odbiorcy).

1. Znalezienie reflektorów. Napastnik skanuje internet w poszukiwaniu źle skonfigurowanych, otwartych usług: otwartych resolverów DNS, serwerów NTP z włączoną komendą monlist, instancji Memcached nasłuchujących na UDP czy urządzeń SSDP/SNMP.
2. Podmiana adresu nadawcy. W wysyłanych pakietach pole adresu źródłowego zostaje podmienione na adres ofiary (tzw. IP spoofing). Da się to zrobić, gdy sieć po drodze nie filtruje ruchu wychodzącego (brak mechanizmu BCP38).
3. Wysłanie małych zapytań. Zwykle przy użyciu botnetu napastnik wysyła do tysięcy reflektorów krótkie żądania tak dobrane, by wywołać jak największą odpowiedź (na przykład zapytanie DNS o typ ANY).
4. Odbicie i wzmocnienie. Każdy reflektor odsyła odpowiedź — wielokrotnie większą od zapytania — na podany fałszywy adres, czyli do ofiary.
5. Wyczerpanie łącza. Ruch z wielu reflektorów sumuje się i zapycha pasmo lub zasoby ofiary, przez co nie jest ona w stanie obsłużyć normalnego ruchu.

Czym jest współczynnik amplifikacji?

Współczynnik amplifikacji mówi, ile bajtów odpowiedzi trafia do ofiary na każdy bajt zapytania wysłanego przez napastnika. Im jest wyższy, tym mniej wysiłku kosztuje atakującego wygenerowanie dużego ruchu. W przypadku DNS współczynnik ten może wynosić od kilku do kilkudziesięciu razy, a w sprzyjających konfiguracjach sięgać około 50x lub więcej. Przykładowo zapytanie DNS o rozmiarze około 60 bajtów może wywołać odpowiedź przekraczającą 3000 bajtów — to współczynnik rzędu 50. Orientacyjne wartości dla typowych wektorów:

• DNS — zwykle rzędu kilkudziesięciu, w skrajnych konfiguracjach do około 50–100x.
• NTP (komenda monlist) — około 50–500x.
• SSDP — około 30x.
• SNMP — kilkaset razy w niekorzystnych konfiguracjach.
• Memcached — skrajnie wysoki; raportowano rzędu 10 000–51 000x (alert CISA z 2018 r.).

Wartości te zależą od protokołu, konfiguracji reflektora i treści zapytania, dlatego należy je traktować jako rzędy wielkości, a nie stałe liczby.

Czym różni się refleksja od amplifikacji?

To dwa różne pojęcia, choć zwykle występują razem. Refleksja dotyczy ukrycia napastnika: ruch dociera do ofiary „odbity” od neutralnych serwerów, więc trudno ustalić, kto naprawdę stoi za atakiem. Amplifikacja dotyczy skali: odpowiedź jest większa od zapytania, co zwielokrotnia siłę uderzenia. Możliwa jest refleksja bez dużego wzmocnienia (zwykłe odbicie pakietu), ale w praktyce ataki wolumetryczne wykorzystują oba efekty naraz. Takie połączenie bywa nazywane atakiem DRDoS (Distributed Reflection Denial of Service).

Najczęstsze wektory ataków amplifikacyjnych

• DNS Amplification — nadużycie otwartych resolverów DNS; zapytania o rekordy generujące duże odpowiedzi (np. typ ANY, DNSSEC) na porcie 53/UDP.
• NTP Amplification — nadużycie komendy monlist na nieaktualnych serwerach NTP (port 123/UDP), która zwraca listę ostatnich klientów.
• Memcached Amplification — nadużycie instancji Memcached wystawionych do internetu na porcie 11211/UDP; źródło rekordowych ataków z 2018 r.
• SSDP Amplification — nadużycie protokołu UPnP/SSDP (port 1900/UDP) w niezabezpieczonych urządzeniach domowych i IoT.
• SNMP / CLDAP / CharGen — starsze usługi UDP, które przy błędnej ekspozycji również działają jak reflektory.

Dlaczego ataki amplifikacyjne są ważne dla bezpieczeństwa i monitoringu sieci?

Z punktu widzenia obrony atak amplifikacyjny jest groźny z trzech powodów: napastnik działa małym nakładem, jego adres jest ukryty za reflektorami, a sam ruch wygląda jak zwyczajne, legalne odpowiedzi protokołów. Dla zespołów SOC i systemów monitoringu sieci (NDR, NetFlow/IPFIX, sFlow) kluczowe jest wychwytywanie anomalii wolumetrycznych w telemetrii przepływów — nagłego skoku ruchu z konkretnych portów źródłowych UDP (np. 53, 123, 11211, 1900) kierowanego do jednego adresu lub podsieci. Charakterystyczne znaki to dużo odpowiedzi, których nie poprzedziło żadne zapytanie, oraz nietypowo duża liczba bajtów przypadająca na pakiet. Co istotne, organizacja może być nie tylko celem, lecz także nieświadomym reflektorem — dlatego monitoring powinien wykrywać też ruch wychodzący, który zdradza nadużycie własnych usług.

Jak ograniczać ryzyko ataków amplifikacyjnych?

1. Filtrowanie ruchu wychodzącego (BCP38 / source address validation). Operatorzy i firmy powinni odrzucać wychodzące pakiety ze sfałszowanym adresem nadawcy — to podstawowy mechanizm, który ucina spoofing u źródła.
2. Zamykanie i utwardzanie otwartych usług. Wyłączenie rekursji DNS dla nieautoryzowanych klientów, aktualizacja NTP (usunięcie monlist), odcięcie Memcached i SNMP od publicznego internetu.
3. Response Rate Limiting (RRL) na serwerach DNS, czyli ograniczanie liczby identycznych odpowiedzi wysyłanych do jednego adresu.
4. Ograniczanie tempa i filtrowanie po stronie sieci. Limity ruchu per IP/podsieć, listy ACL, blokowanie niespodziewanych odpowiedzi UDP na brzegu sieci.
5. Scrubbing i ochrona anty-DDoS. Przekierowanie ruchu przez centra czyszczące (scrubbing) i usługi mitygacji, które pochłaniają wolumen ataku.
6. Monitoring i wczesne wykrywanie. Analiza telemetrii przepływów i wykrywanie anomalii, by rozpoznać atak (oraz ewentualne nadużycie własnej infrastruktury), zanim wysyci łącze.

Dowiedz się więcej

• HTTP Flood — HTTP Flood wykorzystuje dużą liczbę żądań, podobnie jak amplification attack zwiększa wolumen ruchu.
• Application Layer Attack (L7) — Amplification Attack może być używany jako forma ataku na warstwę aplikacji, gdy ruch jest mnożony.
• Slowloris — Slowloris i amplification attack to różne techniki DDoS, ale oba prowadzą do przeciążenia usługi.